Task Scamに関する警告：新たな詐欺の波がGoogle Tasksの通知を悪用し、企業の認証情報を狙う

最近、企業で広く信頼されているGoogle Tasksサービスを悪用した高度なフィッシングキャンペーンが確認されました。このタスク詐欺では、サイバー犯罪者がこのプラットフォームの正当な通知を乗っ取り、従業員にアクセス資格情報を漏らさせることで、企業の内部システムを危険にさらします。カスペルスキーは、@google.comの公式ドメインを悪用し、従来のセキュリティフィルターを回避するこの詐欺を発見しました。

タスク詐欺の仕組み：正規ツールへの信頼を利用した攻撃

このタスク詐欺は、明確かつ計算された構造を持っています。攻撃者は、「あなたに新しいタスクがあります」という件名の通知をGoogle Tasksから送信しているように見せかけます。内容は巧妙にリアルに作られ、被害者の組織がGoogleのタスク管理システムを公式の企業ツールとして採用しているかのように偽装しています。

緊急性を高めるために、攻撃者は高優先度のマークや締め切りを通知に含め、心理的圧力をかけて従業員の批判的思考を抑制します。ユーザーがこの偽のメッセージ内のリンクをクリックすると、「従業員確認フォーム」と偽装された偽サイトに誘導されます。

この偽フォームは、ユーザーに企業のログイン情報を入力させるもので、企業内のステータス確認を装っています。これらの資格情報は、サーバーへの不正アクセスや機密データの窃盗、さらには企業インフラへの連鎖攻撃の入り口となります。

ソーシャルエンジニアリングとタスク詐欺の時代：従業員が罠にかかる理由

このタスク詐欺の成功は、巧妙なソーシャルエンジニアリングの利用にあります。一般的なフィッシングと異なり、この攻撃はユーザーがGoogleエコシステムに絶対的に馴染んでいることを利用しています。多くの従業員がGmailやGoogle Driveなどのツールを日常的に使っているため、@google.comドメインからの通知を信頼しやすくなっています。

カスペルスキーは、これらの通知が正規のドメインから発信されているため、多くの従来のスパムやフィッシング検出フィルターを容易に突破できると指摘しています。攻撃者はさらに、企業内部のプロセスに見える要素（特定のビジネス用語、既知のフォーマット、内部ポリシーへの言及など）を挿入し、被害者の疑念を大きく減らしています。

カスペルスキーのアンチスパム専門家ロマン・デデノクは次のように述べています。「タスク詐欺の背後にあるソーシャルエンジニアリングは、現代企業のスピードとクラウドサービスへの信頼を巧みに利用しています。内部プロセスに見せかけることは特に効果的で、その瞬間に従業員の批判的思考を抑制します。」

タスク詐欺からの防御：重要な企業セキュリティ戦略

この進化する脅威に対抗するため、組織は多層防御を実施すべきです。まず、招待や通知であっても、出所が正規に見えても、極めて疑わしいと扱うことが重要です。従業員はリンクをクリックする前にURLを慎重に確認し、偽サイトへのリダイレクトを避ける必要があります。

また、疑わしいメールに記載された電話番号に絶対に連絡しないことも重要です。必要な場合は、企業の公式ウェブサイトに掲載されている番号を利用してください。疑わしい活動は直ちにIT部門やプラットフォームの提供者に報告しましょう。

企業レベルでは、多要素認証（MFA）をすべてのアカウントに適用することが重要です。これにより、攻撃者が資格情報を入手しても不正アクセスが難しくなります。セキュリティポリシーは、これらの新たな手口に対応して定期的に更新すべきです。

タスク詐欺対策のための専門的ソリューション

企業ユーザーを守るために、カスペルスキーはKaspersky Security for Mail Serverなどの多層防御システムを提供しています。これらは機械学習アルゴリズムを活用し、疑わしい行動やフィッシングのパターンを検知します。従来のフィルターを突破した攻撃でも検出可能です。

個人ユーザー向けには、Kaspersky PremiumがAIを活用したアンチフィッシング機能を提供し、タスク詐欺のような攻撃を未然に防ぎ、全体的なサイバーセキュリティを強化します。

より広い視点では、犯罪者は依然として正規のプラットフォームを悪用して詐欺を行っています。タスク詐欺は、その一例に過ぎず、2026年にはサイバー犯罪者が信頼できるエコシステムをターゲットにした戦術を再利用・適応させる傾向がさらに強まると予測されています。